Bescherm uzelf tegen hackers die pc-microfoons gebruiken om gegevens te stelen

Grootschalig hacken met geavanceerde tactieken, technieken en procedures is aan de orde van de dag - zoals ook te zien was in rapporten over de vermeende Russische hack tijdens de Amerikaanse verkiezingen - en nu gebruiken hackers ingebouwde pc-microfoons om hun weg te banen naar bedrijven en persoonlijke gegevensbestanden.

Gedoopt als 'Operation BugDrop', hebben de hackers achter de aanval tientallen gigabytes aan gevoelige gegevens van ongeveer 70 organisaties en individuen in Oekraïne beveiligd.

Deze omvatten redacteuren van verschillende Oekraïense kranten, een wetenschappelijk onderzoeksinstituut, organisaties die worden geassocieerd met mensenrechtenmonitoring, terrorismebestrijding, cyberaanvallen, olie-, gas- en watervoorziening - in Rusland, Saoedi-Arabië, Oekraïne en Oostenrijk.

Volgens een rapport van cyberbeveiligingsbedrijf CyberX, "probeert de operatie een reeks gevoelige informatie van haar doelen te verzamelen, waaronder audio-opnamen van gesprekken, screenshots, documenten en wachtwoorden."

Hackers beginnen microfoons te gebruiken als een manier om toegang te krijgen tot doelgegevens omdat, hoewel het gemakkelijk is om video-opnamen te blokkeren door eenvoudig een tape over de webcam te plaatsen, het uitschakelen van de microfoon van uw systeem vereist dat u de hardware fysiek loskoppelt.

Veel van deze hacks werden uitgevoerd in zelfverklaarde separatistische staten Donetsk en Luhansk - wat wijst op een overheidsinvloed in deze aanvallen, vooral omdat deze twee staten door de Oekraïense regering als terroristische uitrustingen zijn geclassificeerd.

De hackers gebruiken Dropbox voor gegevensdiefstal, omdat het verkeer van de cloudservice doorgaans niet wordt geblokkeerd door bedrijfsfirewalls en het verkeer dat erdoorheen stroomt ook niet wordt gecontroleerd.

“Operatie BugDrop infecteert zijn slachtoffers met behulp van gerichte e-mail phishing-aanvallen en kwaadaardige macro's ingebed in Microsoft Office-bijlagen. Het maakt ook gebruik van slimme social engineering om gebruikers te misleiden om macro's in te schakelen als ze nog niet zijn ingeschakeld ”, zegt CyberX.

Een voorbeeld van hoe Macro Virus Attack werkt

In dit verband ontdekte CyberX dit kwaadaardige Word-document dat was geladen met het Macro-virus, dat meestal niet wordt opgemerkt door meer dan 90 procent van de antivirussoftware die op de markt is.

Totdat macro's - kort gezegd: stukjes computercodes - op uw pc zijn ingeschakeld, wordt het programma automatisch uitgevoerd en worden codes op uw pc vervangen door kwaadaardige codes.

In het geval dat macro's zijn uitgeschakeld op de doel-pc, - een Microsoft-beveiligingsfunctie die standaard alle macrocodes op een Word-document uitschakelt - opent het kwaadaardige Word-document een dialoogvenster zoals weergegeven in de bovenstaande afbeelding.

De tekst op de afbeelding hierboven luidt: "Let op! Het bestand is gemaakt in een nieuwere versie van Microsoft Office-programma's. U moet macro's inschakelen om de inhoud van een document correct weer te geven."

Zodra een gebruiker de opdracht inschakelt, vervangen kwaadaardige macrocodes codes op uw pc, infecteren andere bestanden op het systeem en geven externe toegang aan de aanvaller - zoals te zien is in het onderhavige geval.

Hoe en welke informatie is verzameld door hackers

Hackers hebben in dit geval een reeks plug-ins gebruikt om gegevens te stelen nadat ze externe toegang tot de doelapparaten hebben verkregen.

De plug-ins bevatten bestandsverzamelaar, die op zoek is naar een groot aantal bestandsextensies en deze uploadt naar Dropbox; USB-bestandsverzamelaar, die bestanden van een aangesloten USB-station op het geïnfecteerde apparaat lokaliseert en opslaat.

Anders dan deze bestandsverzamelaars, werden browser plug-in voor het verzamelen van gegevens die inloggegevens steelt en andere gevoelige gegevens opgeslagen in de browser, een plug-in voor het verzamelen van computergegevens inclusief IP-adres, naam en adres van de eigenaar en meer gebruikt in de aanval.

Naast dit alles gaf de malware hackers ook toegang tot de microfoon van het doelapparaat, waardoor audio-opnames mogelijk zijn - opgeslagen voor inzage in de Dropbox-opslag van de aanvaller.

Hoewel er geen schade is aangericht aan de doelen in Operation BugDrop, wijst CyberX erop dat 'het identificeren, lokaliseren en uitvoeren van verkenning van doelen meestal de eerste fase is van operaties met bredere doelen'.

Zodra deze gegevens zijn verzameld en geüpload naar het Dropbox-account van de aanvaller, worden deze aan de andere kant gedownload en verwijderd uit de cloud - zonder sporen van de transactiegegevens achter te laten.

Krijg hier diepgaand inzicht in de hack in het rapport van CyberX.

Hoe te beschermen tegen dergelijke aanvallen?

Hoewel de meest eenvoudige manier om u te beschermen tegen macrovirusaanvallen, is door de standaardinstelling van Microsoft Office voor Macro-opdrachten niet uit te schakelen en niet toe te geven aan verzoeken via prompts (zoals hierboven besproken).

Als het dringend nodig is om macro-instellingen in te schakelen, zorg er dan voor dat het Word-document afkomstig is van een vertrouwde bron - een persoon of een organisatie.

Op organisatieniveau moeten systemen worden gebruikt om zich tegen dergelijke aanvallen te verdedigen die in een vroeg stadium afwijkingen in hun IT- en OT-netwerken kunnen detecteren. Bedrijven kunnen ook algoritmen voor gedragsanalyse impliceren die ongeautoriseerde activiteiten in het netwerk helpen detecteren.

Er moet ook een actieplan zijn om zich tegen een dergelijk virus te verdedigen - om het gevaar te voorkomen en te voorkomen dat gevoelige gegevens verloren gaan als een aanval wordt uitgevoerd.

Het rapport concludeerde dat hoewel er geen hard bewijs is dat de hackers zijn ingehuurd door een overheidsinstantie.

Maar gezien de verfijning van de aanval, bestaat er geen twijfel over dat de hackers een aanzienlijke staf nodig hadden om de gestolen gegevens en opslagruimte voor alle verzamelde gegevens door te nemen - wat aangeeft dat ze erg rijk waren of financiële steun van een overheid of niet-gouvernementele instelling.

Hoewel het merendeel van deze aanvallen in Oekraïne plaatsvond, is het veilig om te zeggen dat deze aanvallen in elk land kunnen worden uitgevoerd, afhankelijk van de gevestigde belangen van de hackers of de mensen die hen inhuren om toegang te krijgen tot gevoelige gegevens.